Техническая информация
Для обеспечения автозапуска и распространения:
Изменяет следующие исполняемые системные файлы:
- <SYSTEM32>\taskkill.exe
Подменяет следующие исполняемые системные файлы:
- <SYSTEM32>\dllcache\taskkill.exe файлом <SYSTEM32>\dllcache\taskkill.exe.new
- <SYSTEM32>\taskkill.exe файлом <SYSTEM32>\taskkill.exe.new
Заражает следующие исполняемые файлы:
- <SYSTEM32>\dllcache\taskkill.exe.new
- <SYSTEM32>\taskkill.exe.new
- <SYSTEM32>\taskkill.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%TEMP%\RarSFX0\taskkill.exe' /F /IM explorer.exe
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +r +s +h V:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h V:\autorun.inf
- '<SYSTEM32>\attrib.exe' W:\NTDEIECT.COM +r +s +h W:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h U:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h U:\autorun.inf
- '<SYSTEM32>\attrib.exe' V:\NTDEIECT.COM +r +s +h V:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h W:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h X:\autorun.inf
- '<SYSTEM32>\attrib.exe' Y:\NTDEIECT.COM +r +s +h Y:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h Y:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h W:\autorun.inf
- '<SYSTEM32>\attrib.exe' X:\NTDEIECT.COM +r +s +h X:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h X:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' R:\NTDEIECT.COM +r +s +h R:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h R:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h R:\autorun.inf
- '<SYSTEM32>\attrib.exe' Q:\NTDEIECT.COM +r +s +h Q:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h Q:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h Q:\autorun.inf
- '<SYSTEM32>\attrib.exe' S:\NTDEIECT.COM +r +s +h S:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h T:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h T:\autorun.inf
- '<SYSTEM32>\attrib.exe' U:\NTDEIECT.COM +r +s +h U:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h S:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h S:\autorun.inf
- '<SYSTEM32>\attrib.exe' T:\NTDEIECT.COM +r +s +h T:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\yy.exe
- '<SYSTEM32>\attrib.exe' +r +s +h "%TEMP%\taso.exe"
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "CheckedValue" /t REG_DWORD /d 00000001 /f
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\aa.exe
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\cc.exe
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\ff.exe
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "DefaultValue" /t REG_DWORD /d 00000002 /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "Type" /t REG_SZ /d radio /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "RegPath" /t REG_SZ /d "Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /f
- '<SYSTEM32>\shutdown.exe' -r -f -t 10 -c "??10?????"
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "CHKeyRoot" /t REG_DWORD /d 80000001 /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "ValueName" /t REG_SZ /d Hidden /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL" /v "Text" /t REG_SZ /d "@shell32.dll,-30500" /f
- '<SYSTEM32>\attrib.exe' +r +s +h Z:\autorun.inf
- '<SYSTEM32>\attrib.exe' +r +s +h %WINDIR%\avp.exe
- '<SYSTEM32>\attrib.exe' +r +s +h %WINDIR%\fly32.exe
- '<SYSTEM32>\attrib.exe' +r +s +h Y:\autorun.inf
- '<SYSTEM32>\attrib.exe' Z:\NTDEIECT.COM +r +s +h Z:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h Z:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h %WINDIR%\goods32.exe
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\goods.exe
- '<SYSTEM32>\attrib.exe' +r +s +h <DRIVERS>\avp.exe
- '<SYSTEM32>\attrib.exe' +r +s +h %WINDIR%\poor32.exe
- '<SYSTEM32>\attrib.exe' +r +s +h <SYSTEM32>\KAVO.EXE
- '<SYSTEM32>\attrib.exe' +r +s +h "<SYSTEM32>\ubs.EXE"
- '<SYSTEM32>\attrib.exe' +r +s +h "<SYSTEM32>\ubs[1].EXE"
- '<SYSTEM32>\attrib.exe' +r +s +h P:\autorun.inf
- '<SYSTEM32>\attrib.exe' +r +s +h <Имя диска съемного носителя>:\autorun.inf
- '<SYSTEM32>\attrib.exe' E:\NTDEIECT.COM +r +s +h E:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h E:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h C:\autorun.inf
- '<SYSTEM32>\attrib.exe' <Имя диска съемного носителя>:\NTDEIECT.COM +r +s +h <Имя диска съемного носителя>:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h <Имя диска съемного носителя>:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h E:\autorun.inf
- '<SYSTEM32>\attrib.exe' G:\NTDEIECT.COM +r +s +h G:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h G:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h G:\autorun.inf
- '<SYSTEM32>\attrib.exe' F:\NTDEIECT.COM +r +s +h F:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h F:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h F:\autorun.inf
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "avpa" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "mnsa" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "waults" /F
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\tiger_kavo.cmd" "
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run" /v "kava" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "tasa" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "kava" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "waults" /F
- '<SYSTEM32>\attrib.exe' C:\NTDEIECT.COM +r +s +h C:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h C:\NTDEIECT.COM
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "tasa" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "avpa" /F
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "mnsa" /F
- '<SYSTEM32>\attrib.exe' +r +s +h M:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h M:\autorun.inf
- '<SYSTEM32>\attrib.exe' N:\NTDEIECT.COM +r +s +h N:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h L:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h L:\autorun.inf
- '<SYSTEM32>\attrib.exe' M:\NTDEIECT.COM +r +s +h M:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h N:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h O:\autorun.inf
- '<SYSTEM32>\attrib.exe' P:\NTDEIECT.COM +r +s +h P:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h P:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h N:\autorun.inf
- '<SYSTEM32>\attrib.exe' O:\NTDEIECT.COM +r +s +h O:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h O:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' I:\NTDEIECT.COM +r +s +h I:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h I:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h I:\autorun.inf
- '<SYSTEM32>\attrib.exe' H:\NTDEIECT.COM +r +s +h H:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h H:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h H:\autorun.inf
- '<SYSTEM32>\attrib.exe' J:\NTDEIECT.COM +r +s +h J:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h K:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h K:\autorun.inf
- '<SYSTEM32>\attrib.exe' L:\NTDEIECT.COM +r +s +h L:\NTDElECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h J:\NTDEIECT.COM
- '<SYSTEM32>\attrib.exe' +r +s +h J:\autorun.inf
- '<SYSTEM32>\attrib.exe' K:\NTDEIECT.COM +r +s +h K:\NTDElECT.COM
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Пытается завершить работу операционной системы Windows.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\tiger_kavo.cmd
- %TEMP%\RarSFX0\taskkill.exe
Удаляет следующие файлы:
- %TEMP%\RarSFX0\tiger_kavo.cmd
- %TEMP%\RarSFX0\taskkill.exe
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: 'EDIT' WindowName: '(null)'
